Funktionale Sicherheit im EMB-Bereich: Redundanz, ISO 26262 und das Ende hydraulischer Bremsen

• Autor: Johnny Liu | CEO bei Dowway Vehicle
• Technischer Gutachter: Yan Hailiang (Leiter für funktionale Sicherheit bei Suzhou Coordinates)
• Veröffentlicht: 6. August 2026
• Ziellesezeit: 7–9 Minuten (~1.750 Wörter)
• Zielgruppe: Automobilingenieure, Elektroauto-Enthusiasten, Produktmanager für intelligente Fahrwerksysteme
• Lesestufe: Klasse 8 (Klare Sprache, einfache Erklärungen für technische Themen)

Übersichts-Datenblatt

Kurzzusammenfassung: Elektromechanische Bremsung (EMB) EMB ist eine reine Brake-by-Wire-Technologie. Sie ersetzt die hydraulische Bremsflüssigkeit durch Drähte und motorbetriebene Bremssättel, die direkt an den Rädern angebracht sind. Dadurch verkürzt sich die Bremsreaktionszeit von 300–500 ms auf unter 100 ms. Da EMB keine mechanische Pedalverbindung oder hydraulische Notbremsung besitzt, ist die funktionale Sicherheit von entscheidender Bedeutung. ASIL D Vollständige Redundanz (doppelte Stromversorgung, doppelte Verkabelung, doppelte Steuerungen) und strikte Einhaltung von GB 21670 Und ISO 26262Die

Metrik / Parameter	Traditionelle hydraulische Bremsen	Elektromechanische Bremsung (EMB)
Ansprechzeit	$300\text{–}500\,\text{ms}$	$<100\,\text{ms}$ (43% Geschwindigkeitssteigerung)
Betätigungsmedium	Bremsflüssigkeit, Hauptbremszylinder, Bremskraftverstärker	Elektrische Verkabelung, Servomotoren
Notbremsweg	Ausgangswert	Reduziert um ca. 2 m
Mechanischer Ausfall	Physikalische hydraulische Pedalverbindung	Doppelte elektrische Energieredundanz (ASIL D)
Nationaler Sicherheitsstandard	Verbindliche Hydraulikregeln	GB 21670 (Inkrafttreten: 1. Januar 2026)

Einleitung: Vom Hydrauliköl zum elektrischen Kabel

Im Jahr 2025 überstieg der weltweite Absatz von Elektrofahrzeugen 16 Millionen Einheiten und erreichte damit einen Marktanteil von über 50 %. Mit der weltweiten Einführung der Regeln für autonomes Fahren der Stufe 3 (L3) stoßen ältere Fahrgestellkonstruktionen an ihre Grenzen. Hydraulische Bremsen reagieren zu langsam für die Steuerungssysteme autonomer Fahrzeuge.

Über hundert Jahre lang nutzten Autos Bremsflüssigkeit, Vakuumpumpen, Metallleitungen und Hauptbremszylinder zum Bremsen. Moderne Elektrofahrzeuge wie der Chery Exeed und der Li Auto L9 stellen um auf … Elektromechanische Bremsung (EMB). EMB entfernt die Bremsflüssigkeit vollständig und setzt auf direkte elektrische Steuerung.

Diese technische Störung stammt aus einer Live-Techniksitzung, die von SASETECH—eine von dem Gründer von Panshi Information ins Leben gerufene Community für Fahrzeugsicherheit. Der Vortrag behandelte Yan Hailiang, Leiter Funktionale Sicherheit bei Suzhou Coordinates. Er verfügt über mehr als zehn Jahre Erfahrung in den Bereichen intelligentes Fahren, Fahrwerksicherheit und ASIL-D-Produktzertifizierungen (0-1). Nachfolgend finden Sie die vollständige technische Zusammenfassung, die die EMB-Architektur, Sicherheitsbackups, regulatorische Schritte und die zentrale Fahrwerkssteuerung umfasst.

I. Redundanzdesign für EMB: Subtraktionen und Additionen durchführen

Die wichtigste Sicherheitsstrategie hinter EMB lässt sich auf zwei Maßnahmen reduzieren: Entfernung schwerer mechanischer Teile und Hinzufügen elektrischer Sicherheitsvorkehrungen.

[ Traditional Hydraulic Brake ] 
 Fluid + Master Cylinder + Booster Pumps + Brake Lines
                  │
                  ▼  (SUBTRACTION: Remove Fluid & Pipes)
[ EMB Actuator Setup ] 
 Direct Electric Wires + Wheel Motors (<100ms Response)
                  │
                  ▼  (ADDITION: Add ASIL D Redundancy)
[ Dual Power Isolation & Communication Buffers ]

1. Ausbau alter mechanischer Teile

• Schnellere Reaktionsgeschwindigkeit: Hydraulikflüssigkeit benötigt Zeit zum Druckaufbau, was eine Verzögerung von 300–500 ms verursacht. EMB nutzt elektrische Signale zur Bewegung der Radbremssättel und verkürzt so die Reaktionszeiten. unter $100\,\text{ms}$.
• Sauberere Chassis-Aufteilung: Durch den Ausbau von Hauptbremszylinder, Bremsleitungen und Bremskraftverstärker wird Platz im Rahmen geschaffen. Außerdem werden Leckagen von giftiger Bremsflüssigkeit vermieden.
• Einheitliche Fahrwerkssteuerung: Bremsen, Lenkung und Federung benötigen keine separaten Systeme mehr. Ingenieure können sie in einem zentralen Fahrgestellrechner zusammenfassen.

2. Hinzufügen von Sicherheitsbackups

Um die höchste Sicherheitsbewertung für Fahrzeuge zu erreichen (ASIL D Gemäß ISO 26262 verwenden Ingenieurteams zwei Hauptentwicklungswege:

1. Zentralsteuergerät + 4 Radbremssattelsteuergeräte: Die vier Radsteuergeräte dienen als Backup, falls die Haupteinheit ausfällt. Im Inneren der Zentraleinheit laufen die Haupt- und Backup-Logik gleichzeitig über zwei interne Kanäle.
2. Architektur mit vollständiger Link-Redundanz: Verwendet isolierte Doppelstromleitungen, zwei Kommunikationskanäle, einen Code zur dynamischen Bremskraftkompensation, an jeden Radsteuergerät angeschlossene Radgeschwindigkeitssensoren und eine Doppelstromverkabelung im gesamten Fahrzeug.

Der Vorteil für Autohersteller: EMB-Brems-durch-Elektronik-Architektur Die Hardware-Motoren werden von der Steuerungssoftware getrennt. Automobilhersteller können den Bremscode auf ihre eigenen Domänenrechner auslagern, wodurch die Software problemlos für verschiedene Fahrzeugmodelle wiederverwendet werden kann.

II. Wesentliche Fähigkeiten: Mehr als nur Anhalten

EMB leistet mehr als nur ein Auto zum Stehen zu bringen. Es ermöglicht Ingenieuren eine präzise Steuerung der Fahrzeugbewegung, die hydraulische Systeme nicht erreichen können:

                  ┌─► 1. Shorter Stopping Distance (-2m, +0.05G Deceleration)
                  │
EMB Key Features ─┼─► 2. Brake-Assisted Steering (Yaw Moment Control)
                  │
                  └─► 3. Single-Wheel Failure Drift Compensation

• Kürzere Notbremsungen: Durch die Reduzierung der Reaktionsverzögerung um 43 % verkürzt EMB die Bremszeit bei Notbremsungen um etwa 2 m. Eine präzisere ABS-Schlupfregelung erhöht die durchschnittliche Verzögerung um 0,05 g, wodurch die automatische Notbremsung (AEB) und die Fahrsoftware L3+ schneller reagieren können.
• Bremsunterstützte Lenkung: Wenn ein Fahrer scharf einlenkt und die Vorderräder durchdrehen (Untersteuern), bremst das elektronische Kurvenbremssystem (EMB) die kurveninneren Räder kurzzeitig ab. Dadurch entsteht ein Drehmoment (Gierdrehmoment), das das Fahrzeug durch die Kurve lenkt.
• Driftkontrolle bei Ausfall eines einzelnen Rades: Fällt ein Radmotor aus oder verliert er die Stromversorgung, passt das zentrale Bremssystem die Bremskräfte an den verbleibenden drei Rädern sofort an. Dadurch wird ein Schleudern oder einseitiges Ziehen des Fahrzeugs verhindert. Bei Testfahrten auf der Rennstrecke kamen Fahrzeuge, bei denen eine Radbremse komplett abgekoppelt war, dennoch gleichmäßig und geradeaus zum Stehen.

III. Umgang mit vollständigem Stromausfall

Bei einem normalen Benziner kann man, wenn der Motor ausgeht oder die Batterie leer ist, durch kräftiges Treten des Bremspedals weiterhin Hydraulikflüssigkeit in die Leitungen drücken. Bei einem rein drahtgesteuerten EMB-System Kein Strom bedeutet keine Bremsen.Die

Um dieses Stromrisiko zu beheben, fordern die Sicherheitsbehörden strenge Maßnahmen. Doppelte Stromversorgungsredundanz:

[ Main Traction Battery ] ────┐
                              ├──► [ ASIL D Power Isolation Module ] ──► Dual EMB Power Paths
[ 12V Auxiliary Battery ] ────┘

• Doppelte Stromleitungsisolierung: Die Bremsen werden von zwei separaten Stromquellen versorgt. Diese müssen unabhängig voneinander funktionieren, damit ein Kurzschluss in einer Leitung die andere nicht beeinträchtigt. Backup-Speichergeräte (Batterien oder DC/DC-Wandler) müssen kontinuierliche Hardware-Selbsttests durchführen, um Fehler sofort zu erkennen.
• Der „8+1“-Bremsentest: Das System muss acht aufeinanderfolgende Notstopps mit voller Leistung durchführen. Nach diesen acht Stopps muss es noch genügend gespeicherte Energie für einen neunten Notstopp mit einer Verzögerung von mindestens 2,44 m/s² aufweisen.
• Der „4+1“-Batteriegesundheitstest: Energiespeichereinheiten müssen ihren Gesundheitszustand (State of Health, SOH) überwachen. Sinkt der Batteriezustand um mehr als 20 %, leuchtet eine Warnleuchte auf. Bei einem gefährlich niedrigen Batteriestand muss das Fahrzeug innerhalb von 60 Sekunden automatisch auf unter 20 km/h abbremsen.

Die Branchenlösung: Die Ingenieurteams verbinden die Haupt-Hochvoltbatterie des Elektrofahrzeugs mit einer sekundären 12-V-Hilfsbatterie. ASIL D Stromisolationsmodul Sie befindet sich zwischen den beiden Energiequellen, um die Stromversorgung auch bei einzelnen Stromausfällen aufrechtzuerhalten.

IV. Einhaltung gesetzlicher Vorschriften: GB 21670 vs. ISO 26262

Ingenieure fragen oft: Wenn unser Bremssystem Chinas obligatorischen nationalen Standard (GB 21670) erfüllt, benötigen wir dann noch das internationale ISO 26262-Verfahren?

Die Antwort lautet: Ja. Diese beiden Standards arbeiten zusammen:

• GB 21670 (Nationaler verbindlicher Standard): Der Fokus liegt auf den Ergebnissen physikalischer Tests. Ab dem 1. Januar 2026 werden erforderliche Bremswege und Hardwaretests für drahtgesteuerte ETBS-Systeme festgelegt.
• ISO 26262 (Internationaler Sicherheitsstandard): Der Fokus liegt auf den Entwicklungsprozessen. Es wird detailliert beschrieben, wie Hardware und Software Schritt für Schritt anhand eines strikten V-Modell-Lebenszyklus entwickelt, dokumentiert und getestet werden müssen.

       GB 21670 (Physical Performance Test Results)
                          +
       ISO 26262 (Development Methodology & Process)
                          =
   Complete Production-Ready Safety Evidence Chain

Der 3-Schichten-Implementierungsschritt

1. Systemvoraussetzungen: Das elektronische Autobahnbremssystem (ETBS) muss die Hardware-Zielwerte gemäß ASIL D erfüllen.
2. Prozessschritte: Die Entwicklung muss den Schritten des ISO 26262 V-Modells von der frühen Konzeptarbeit bis hin zu den abschließenden Streckentests folgen.
3. Dokumentarischer Nachweis: Die Hersteller müssen detaillierte Aufzeichnungen über Gefahrenanalyse und Risikobewertung (HARA), Sicherheitsziele und Systemarchitekturpläne führen (wie in den Anhängen A, B und C von GB 21670 gefordert).

ASIL-Zerlegungsmethode: Nicht jedes einzelne Bauteil muss eine individuelle ASIL-D-Zertifizierung aufweisen. Durch die Kombination zweier unabhängiger ASIL-B-Stromkanäle mit automatischer Backup-Umschaltung und durchgängigem (E2E) Signalschutz erreicht das Gesamtsystem eine hohe Sicherheitsstufe. ASIL D Systemsicherheit zu geringeren Herstellungskosten.

V. Zentralisierte Chassis-Domänenarchitektur

Veränderungen im Design von Fahrzeugcomputern beschleunigen die branchenweite Einführung von EMB: $$\text{Verteilte Steuergeräte (2015)} \longrightarrow \text{Domänencontroller} \longrightarrow \text{Zentrale Datenverarbeitung + Zonensteuerung}$$

Moderne Chassis-Systeme basieren auf drei Haupttechnologien:

1. Vollständige X-by-Wire-Steuerung (Elektrische Steuerung für Lenkung, Bremsen und Gaspedal).
2. Entkoppelte Software und Hardware (Trennung des Steuerungscodes von den mechanischen Motoren).
3. XYZ 3D-Bewegungssteuerung (Gemeinsame Steuerung von Vorwärts-, Seitwärts- und Auf- und Abwärtsbewegungen des Fahrzeugs).

                      [ Central Computing Domain Controller ]
                                         │
        ┌────────────────────────────────┼────────────────────────────────┐
        ▼                                ▼                                ▼
  Longitudinal (X)                  Lateral (Y)                     Vertical (Z)
   (EMB Braking)               (Steer-by-Wire Control)           (Active Suspension)

Praxisbeispiel: Nio ET9 bei 130 km/h

Stellen Sie sich einen Reifenplatzer bei 130 km/h in einem Nio ET9 vor:

• Steer-by-wire Die Vorderradwinkel werden innerhalb von 230 ms angepasst, um in der Fahrspur zu bleiben.
• ESP und Drehmomentsteuerung Die Motorleistung innerhalb von 10 ms wieder gleichmäßig auf die Räder verteilen.
• Aktive Federung Körperschlankheitsniveaus innerhalb von 1 ms.

Diese Reaktionszeit im Millisekundenbereich ist mit langsamem Hydrauliköl unmöglich. Rein elektrische EMB-Motoren sind direkt mit den zentralen Fahrgestellrechnern verbunden, wodurch alle drei Systeme als einheitlicher Sicherheitsmechanismus zusammenarbeiten.

VI. Technische Fragen und Antworten (F&A)

Frage 1: Benötigt EMB physische Drucksensoren an jedem Radbremssattel?

Kurze Antwort: Nein, in der Massenproduktion hergestellte EMB-Systeme benötigen keine physischen Kraftsensoren an jedem Rad, da Softwarealgorithmen die Klemmkraft genau schätzen.

Anstatt teure Kraftsensoren einzusetzen, die verschleißen können, verwenden Ingenieure Kraftabschätzungscode. Diese Software berechnet die Klemmkraft anhand des Motorstroms, des Motordrehwinkels und der Raddrehzahl. Dieses Verfahren senkt die Hardwarekosten und gewährleistet gleichzeitig eine präzise Bremskraft.

Frage 2: Ist EMB für autonomes Fahren der Stufe 3 (L3) zwingend erforderlich?

Kurze Antwort: Bei L3-Systemen können noch modifizierte Hydrauliksysteme (EHB) verwendet werden, EMB wird jedoch aufgrund seiner Reaktionsgeschwindigkeit unter 100 ms bevorzugt, während für L4-Antriebe EMB erforderlich ist.

Autonome Fahrsysteme der Stufe 3 können mit elektrohydraulischen Bremsen (EHB) betrieben werden, sofern die Ingenieure die hydraulischen Verzögerungen beherrschen. Die meisten Sicherheitsstandards sehen ein fehlertolerantes Zeitintervall (FTTI) zwischen 200 und 500 ms vor. Da elektrohydraulische Bremsen (EMB) in weniger als 100 ms reagieren, bleibt ausreichend Zeit für die Reaktion der Sicherheitssoftware. Autonome Fahrzeuge der Stufe 4 und höher benötigen zwingend reine EMB-Systeme.

Frage 3: Wie gehen Ingenieure mit Ausfällen durch gemeinsame Ursachen in dualen Mikrocontroller-Einheiten (MCUs) um, und ist eine Systemverschlechterung ein gültiger sicherer Zustand?

Kurze Antwort: Duale MCUs nutzen die Dependent Failure Analysis (DFA) zur Bewältigung gemeinsamer Risiken, und eine kontrollierte Leistungsverschlechterung wird als sicherer Zustand akzeptiert, wenn minimale Abbruchregeln erfüllt sind.

Ingenieure verwenden Analyse abhängiger Ausfälle (DFA) Ziel ist es, die gemeinsamen Risiken zweier MCUs zu untersuchen. Obwohl die Teams nach Möglichkeit unterschiedliche Sensortypen verwenden (z. B. eine Kombination aus Hall-Effekt- und induktiven Sensoren), ist der Einsatz zweier völlig unterschiedlicher MCU-Chips für die Massenproduktion zu teuer.

Zum Thema Degradation: Ja, die Reduzierung der Systemleistung ist ein anerkannter sicherer Zustand.Solange die reduzierte Bremsleistung die Mindestanforderungen an die Notverzögerung erfüllt, ist dies ausreichend. Bei jeder Systemverschlechterung müssen die Ingenieure das gesamte ASIL-Sicherheitsniveau neu berechnen.

Frage 4: Sollten alle vier Radendaktuatoren völlig unterschiedliche Komponenten verwenden, um gemeinsame Ausfälle zu vermeiden?

Kurze Antwort: Komponentenvariationen werden dort hinzugefügt, wo es praktikabel ist, aber die Herstellung aller vier Radsteuergeräte komplett unterschiedlicher Art ist für die Massenproduktion zu kostspielig.

Die Entwicklungsteams nutzen Komponentenvarianten, wo es sinnvoll ist. Die Verwendung komplett unterschiedlicher Kernchips wie Mikrocontroller für alle vier Räder erhöht jedoch die Produktionskosten erheblich. Industrieteams konzentrieren sich stattdessen auf sorgfältige DFA-Studien, die physische Trennung der Verdrahtung und Echtzeit-Fehlerprüfungen, um gemeinsame Risiken effizient zu managen.

Schlusswort: Aufbau produktionsreifer EMB-Systeme

Der Ersatz von Hydraulikflüssigkeit durch elektrische Leitungen ermöglicht mehr als nur kurze Bremswege. Er schafft eine unabhängige, flexible Radsteuerung für zukünftige softwaredefinierte Fahrzeuge.

Wenn die Entwicklungsteams die EMB-Technologie von Streckentests auf die Serienfertigung verlagern, wird der Erfolg nicht mehr von der höchsten Anzahl zusätzlicher Teile abhängen. Erfolgreiche Konstruktionen werden diejenigen sein, die … Komponentenfehler innerhalb von Millisekunden erkennen, isolieren und beheben unter Beibehaltung einer klaren ISO 26262-konformen Dokumentation für die Aufsichtsbehörden.

Über den Autor

Johnny Liu ist CEO bei Dowway Vehicle. Er ist spezialisiert auf drahtgesteuerte Chassis-Systeme der nächsten Generation, Leistungselektronik und Architekturen für funktionale Sicherheit in der Automobilindustrie.

Haben Sie Fragen zu EMB Stromisolierung oder ISO 26262-Konformität? Wenden Sie sich an unser technisches Team oder treten Sie der SASETECH-Community für Fahrzeugsicherheit bei.